根据熵估算密码强度，查看被破解所需时间，并给出导致密码薄弱的检查清单。
测量真实的密码强度。 强度由熵（密码包含的不确定性比特数）估算，而非仅看长度。破解时间按每秒十亿次猜测计算。全部在浏览器内运行，你的密码不会被存储或发送。
熵衡量攻击者需要多少次猜测，以比特为单位表示。每增加一比特，工作量翻一倍。这里的估算公式是 log2(字符集大小) × 长度：一个由小写字母加数字组成的 10 位密码，字符池为 36，约合 51.7 比特，意味着在攻击者已知字符池和长度的前提下约有 2^51.7 种候选。
这个公式描述的是从该字符池中随机挑选的密码。它是上界，而人为选择的密码很少能达到。Password1! 纸面上表现不错——大小写混合、有数字、有符号、10 位长——但它出现在所有破解字典里，真实强度不过几次猜测。因此这里的检查清单不只是一张评分表：常见密码这一项不通过，比符号那一项通过要重要得多。
有两个因素能让答案相差几个数量级。第一是攻击者的硬件：单张现代 GPU 针对 MD5、SHA-1 这类快速哈希每秒可尝试数十亿次，租用集群还能成倍放大。第二是目标方如何存储密码。配置得当的 bcrypt、scrypt 或 Argon2 哈希刻意做得又慢又吃内存，能把吞吐从每秒数十亿压到每秒数千。
所以同一个密码，在某个站点可能被轻易攻破，在另一个站点却相当安全。此处显示的数字假定的是针对快速哈希的离线攻击，属于悲观情形，也是应当据以规划的情形——因为你无从得知任何一个站点究竟如何存储你的密码。
长度胜过复杂度。给一个小写密码增加一个字符，搜索空间乘以 26；而给一个短密码增加一类符号，倍数要小得多。从一个大词表中随机抽取四到五个单词组成的口令短语，可以达到 50 到 70 比特，同时依然好打好记，这正是 diceware 方法的思路。
更要紧的一点是：单个密码的强度不如"是否重复使用"重要。一个强密码若用在十个站点上，其安全性只等于其中最弱的那一个，因为一次泄露就会牵连全部十个。用密码管理器为每个站点生成互不相同的随机字符串，能一次解决这两个问题，实际收益远大于反复打磨一个手动输入的密码。
另外，本页所有计算都在浏览器本地完成，你输入的内容不会发送到任何地方。